Nowelizacja KSC (NIS2): obowiązki podmiotów leczniczych

Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS2. Podmioty lecznicze są w załączniku nr 1 do ustawy (sektor „ochrona zdrowia”). O tym, czy podmiot leczniczy jest podmiotem ważnym albo kluczowym, decyduje przede wszystkim jego wielkość. W spółkach liczy się zatrudnienie, ale też roczny obrót i suma bilansowa. W SP ZOZ i innych podmiotach, które nie są przedsiębiorcami, liczy się samo zatrudnienie. Niektóre podmioty podlegają ustawie niezależnie od wielkości.

Taki podmiot składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Według komunikatu Ministerstwa Cyfryzacji podmioty istniejące miały na to czas do 3 października 2026 r. Do 3 kwietnia 2027 r. podmiot musi wdrożyć system zarządzania bezpieczeństwem informacji. Najpóźniej od tego dnia zgłasza też incydenty poważne, niezwłocznie i w terminach 24 oraz 72 godzin od wykrycia.

Podmioty kluczowe muszą przeprowadzić pierwszy audyt do 3 kwietnia 2028 r.

Przygotowanie firm z innych sektorów opisujemy na conetso.com, na stronie cyberbezpieczeństwo i ustawa o KSC. Tutaj skupiamy się na tym, co zmienia się w szpitalach i przychodniach.

Podstawa prawna

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), tekst w ISAP. Weszła w życie 3 kwietnia 2026 r.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20) w brzmieniu nadanym nowelizacją. Do niej odnoszą się numery artykułów w tekście. Gdy piszemy „art. … nowelizacji”, chodzi o przepisy przejściowe ustawy zmieniającej.
• Informacje i harmonogram Ministerstwa Cyfryzacji: Nowelizacja ustawy o KSC zaczyna obowiązywać oraz samorejestracja w wykazie.

Czy Twój szpital lub przychodnia podlega ustawie o KSC?

Ustawa rozróżnia podmioty lecznicze, które są przedsiębiorcami (np. spółki prowadzące przychodnie), i te, które przedsiębiorcami nie są (np. samodzielne publiczne zakłady opieki zdrowotnej).

W tym samym sektorze ustawa wymienia też świadczeniodawców, którzy mają szpitalny oddział ratunkowy (SOR) lub centrum urazowe. Wymienia także podwykonawców podmiotów kluczowych i ważnych w ochronie zdrowia. Status takiego podmiotu zależy od jego konkretnej sytuacji.

Podmiot leczniczy	Podmiot ważny	Podmiot kluczowy
niebędący przedsiębiorcą (art. 5 ust. 8)	zatrudnia od 50 do 249 osób	zatrudnia co najmniej 250 osób
będący przedsiębiorcą (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1)	jest średnim przedsiębiorstwem według zał. I do rozporządzenia Komisji 651/2014: zatrudnia co najmniej 50 osób albo ma roczny obrót i sumę bilansową powyżej 10 mln euro	przewyższa kryteria średniego przedsiębiorstwa: zatrudnia co najmniej 250 osób albo ma roczny obrót powyżej 50 mln euro i sumę bilansową powyżej 43 mln euro

Spółka z mniej niż 50 pracownikami może więc być podmiotem ważnym, jeśli ma odpowiednio wysoki obrót i sumę bilansową. Jeśli Twoja spółka jest na granicy, policz to z księgową. Ustawa każe badać wielkość według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5).

Liczą się też przedsiębiorstwa powiązane i partnerskie, bo grupa kapitałowa może podnieść wielkość podmiotu. Wyjątek dotyczy podmiotu, który osiąga progi tylko dzięki danym grupy. Jeśli jego systemy są niezależne od systemów grupy albo nie świadczy usług wspólnie z nią, nie jest podmiotem kluczowym ani ważnym (art. 5 ust. 6 i 7).

Jeśli przychodnia lub szpital jest spółką gminy, powiatu lub województwa, liczy się jej rzeczywista wielkość. Ustawa wyłącza tu zasadę, według której spółka kontrolowana przez organ publiczny nie jest małym ani średnim przedsiębiorstwem (art. 5 ust. 3).

Przy liczeniu wielkości pojawiają się pytania, na które odpowiedź zależy od sytuacji konkretnego podmiotu. Dotyczy to np. lekarzy na kontraktach, przeliczania zatrudnienia na roczne jednostki robocze i przekroczenia progów tylko w jednym roku obrotowym. Jeśli Twój szpital lub przychodnia jest blisko progów, napisz do nas. Pomożemy zebrać dane potrzebne do tej oceny.

Niezależnie od wielkości podmiotem kluczowym jest podmiot krytyczny (art. 5 ust. 1 pkt 4 lit. c). Podmiotem kluczowym może też zostać podmiot leczniczy uznany za taki decyzją organu właściwego do spraw cyberbezpieczeństwa (art. 7l ust. 2 pkt 1). Taka decyzja może zapaść np. wtedy, gdy zakłócenie usług podmiotu poważnie zagroziłoby zdrowiu publicznemu. Może też zapaść, gdy jego usługa ma istotne znaczenie na poziomie województwa lub kraju (art. 7l ust. 1 pkt 2 lit. b i d). Podmiot uznany decyzją ma 12 miesięcy na realizację obowiązków i 24 miesiące na pierwszy audyt, licząc od doręczenia decyzji (art. 7l ust. 7).

Mała przychodnia, która nie spełnia tych progów, nie jest podmiotem krytycznym i nie została uznana decyzją, nie ma obowiązków z ustawy o KSC. Nadal jednak przetwarza dane szczególnej kategorii. Większość środków z ustawy to po prostu dobra praktyka, której oczekują też RODO i przepisy o dokumentacji medycznej.

Terminy dla podmiotów leczniczych

Termin	Obowiązek
od 7 maja do 3 października 2026 r.	Wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Daty i adres samorejestracji (wykaz-ksc.gov.pl) podajemy według komunikatu Ministerstwa Cyfryzacji
do 3 kwietnia 2027 r.	Realizacja obowiązków z rozdziału 3 ustawy, m.in. system zarządzania bezpieczeństwem informacji, obsługa i zgłaszanie incydentów
do 3 kwietnia 2028 r.	Pierwszy audyt bezpieczeństwa w podmiotach kluczowych; kolejne co najmniej raz na 3 lata
po 3 kwietnia 2028 r.	Większość kar administracyjnych z ustawy może być nakładana dopiero po upływie 2 lat od wejścia w życie nowelizacji

Wykaz dla sektora ochrony zdrowia prowadzi organ właściwy do spraw cyberbezpieczeństwa, czyli minister właściwy do spraw zdrowia (art. 7 ust. 4). Wniosek składa się w systemie teleinformatycznym, który utrzymuje minister cyfryzacji (art. 7 ust. 6 i art. 7c ust. 6). Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1).

Jeśli spełniasz kryteria, a wniosek nie został złożony do 3 października 2026 r., złóż go jak najszybciej i skonsultuj sytuację z prawnikiem. Organ może też wpisać podmiot do wykazu z urzędu (art. 7j).

Podmiot leczniczy, który spełni przesłanki później (np. SP ZOZ, który zacznie zatrudniać 50 osób), ma 6 miesięcy na wniosek o wpis (art. 7c ust. 1). Na wdrożenie obowiązków ma 12 miesięcy, a podmiot kluczowy ma 24 miesiące na pierwszy audyt (art. 16). Terminy liczy się od dnia spełnienia przesłanek.

Co podmiot leczniczy musi wdrożyć do kwietnia 2027 r.?

Najważniejszy obowiązek to system zarządzania bezpieczeństwem informacji (art. 8). Ustawa wymienia jego elementy dość szczegółowo. W szpitalu i przychodni przekładają się one m.in. na:

• systematyczne szacowanie ryzyka incydentu i zarządzanie nim, zaczynając od ustalenia, które systemy są niezbędne do przyjmowania pacjentów: system gabinetowy lub szpitalny, PACS (archiwum obrazów medycznych), laboratorium, łącze do P1, telefonia,
• zarządzanie aktywami: aktualną listę serwerów, stanowisk, urządzeń sieciowych i aparatury podłączonej do sieci,
• kontrolę dostępu i uwierzytelnianie wieloskładnikowe, szczególnie przy dostępie zdalnym dla lekarzy opisujących, producentów aparatury i serwisu,
• ciągłość działania: kopie zapasowe, plan odtworzenia systemów i procedurę pracy, gdy system medyczny nie działa,
• monitorowanie w trybie ciągłym systemu informacyjnego wykorzystywanego do świadczenia usług,
• aktualizacje oprogramowania zgodnie z zaleceniami producenta, także na stacjach przy aparaturze, o których często się zapomina,
• bezpieczeństwo łańcucha dostaw, czyli ocenę dostawców sprzętu i oprogramowania, w tym dostawcy systemu medycznego i firmy serwisującej IT,
• szkolenia personelu z cyberhigieny.

Do tego dochodzą obowiązki organizacyjne:

• Za wykonywanie obowiązków odpowiada kierownik podmiotu: w spółce zarząd, a w SP ZOZ dyrektor (art. 2 pkt 8a). Odpowiada także wtedy, gdy powierzy obowiązki innej osobie (art. 8c ust. 3). Jeśli zarząd nie wskaże osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2). Kierownik i osoba, której powierzył obowiązki, przechodzą szkolenie raz w roku kalendarzowym (art. 8e).
• Podmiot powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14).
• Każda osoba, która ma realizować zadania z art. 8 lub art. 11, przed rozpoczęciem pracy przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). Ustawa nie rozróżnia, czy to pracownik podmiotu, czy osoba dostawcy.
• Podmiot wyznacza co najmniej dwie osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Daje też pacjentom informacje o cyberzagrożeniach i możliwość zgłoszenia incydentu (art. 9).
• Incydent poważny zgłaszasz do właściwego CSIRT (zespołu reagowania na incydenty bezpieczeństwa komputerowego). Wczesne ostrzeżenie składasz niezwłocznie, najpóźniej w ciągu 24 godzin od wykrycia. Zgłoszenie składasz niezwłocznie, najpóźniej w ciągu 72 godzin od wykrycia. Sprawozdanie końcowe przekazujesz w ciągu miesiąca od zgłoszenia (art. 11 ust. 1). Jeśli obsługa incydentu trwa dłużej, składasz sprawozdanie z postępu, a końcowe w ciągu miesiąca od zakończenia obsługi (art. 12b). Jeśli incydent utrudnia przyjmowanie pacjentów, trzeba ich o tym poinformować (art. 11 ust. 2b).
• Docelowo zgłoszenia przyjmuje CSIRT sektorowy, który organ właściwy ustanawia do 3 października 2027 r. Do czasu ogłoszenia, że ten zespół osiągnął zdolność operacyjną, zgłoszenia trafiają do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV (art. 42 i 44 nowelizacji). Właściwy zespół wskazuje wpis podmiotu w wykazie (art. 7 ust. 2 pkt 21 i 22).

Od czego zaczynamy przygotowanie do KSC

Gdy przychodnia lub szpital prosi nas o pomoc, zaczynamy od strony technicznej, bo ona zajmuje najwięcej czasu:

1. Inwentaryzacja i mapa sieci: co jest podłączone, gdzie są dane pacjentów, które urządzenia mają dostęp do internetu.
2. Przegląd segmentacji sieci. Sprawdzamy, czy aparatura medyczna, stanowiska personelu, goście i serwery są w osobnych strefach. Jak to robimy, opisaliśmy we wpisie Segmentacja sieci w przychodni. Sieci dla szpitali i przychodni projektujemy w ramach oferty IT dla medycyny.
3. Przegląd kopii zapasowych. Sprawdzamy, czy jest kopia poza siedzibą, odporna na ransomware (oprogramowanie szyfrujące dane dla okupu), i czy ktoś kiedykolwiek sprawdził odtworzenie. Więcej we wpisie o kopiach zapasowych w szpitalu i przychodni.
4. Dostęp zdalny: lista kont, uwierzytelnianie wieloskładnikowe, wyłączenie nieużywanych połączeń.
5. Lista dostawców i tego, do czego mają dostęp. To podstawa oceny łańcucha dostaw.
6. Plan na niedziałający system: jak rejestracja i lekarze pracują, gdy system medyczny jest niedostępny, i kto o tym decyduje.

Na tej podstawie powstaje część dokumentacyjna: polityki, analiza ryzyka, procedury zgłaszania incydentów. Żadna lista kontrolna nie gwarantuje zgodności z ustawą. Daje natomiast uporządkowany obraz, na którym można zbudować system zarządzania bezpieczeństwem.

Najczęstsze pytania

Czy KSC zastępuje RODO?

Nie. Obowiązki z ustawy o KSC dotyczą bezpieczeństwa systemów informacyjnych, z których podmiot leczniczy korzysta przy świadczeniu usług. RODO dotyczy danych osobowych. W praktyce wiele środków służy obu celom. Zgłoszenie incydentu do CSIRT nie zastępuje jednak zgłoszenia naruszenia ochrony danych do Prezesa UODO.

Czy firma IT może przejąć odpowiedzialność za KSC?

Może wykonywać zadania, ale odpowiedzialność kierownika podmiotu zostaje. Ustawa mówi o tym wprost (art. 8c ust. 3).

Czy mała przychodnia powinna coś robić?

Ustawa jej nie obejmuje, ale ransomware nie sprawdza liczby pracowników. Kopie zapasowe, aktualizacje i uwierzytelnianie wieloskładnikowe warto mieć niezależnie od progów.

Jeśli chcesz sprawdzić, na jakim etapie przygotowań jest Twój zespół, zobacz naszą ofertę IT dla szpitali i przychodni albo skontaktuj się z nami. Zaczniemy od przeglądu infrastruktury i listy rzeczy do zrobienia przed kwietniem 2027 r.

Stan prawny na 8 listopada 2026 r.